تیم GReAT کسپرسکی یک کمپین توزیع بدافزار را شناسایی کرده که در آن بکدر شناخته‌شدهٔ ValleyRAT درون یک اپلیکیشن به‌ظاهر بی‌خطر و حتی امضاشدهٔ تصویر زمینه (QN Wallpaper) پنهان شده است. این کمپین نشان می‌دهد مهاجمان چگونه از نرم‌افزارهای رایگان و کم‌اهمیت به‌عنوان دروازهٔ ورود به شبکه‌های سازمانی و شخصی استفاده می‌کنند.

چیستی تهدید و پیش‌زمینهٔ فنی

ValleyRAT یک بکدر (backdoor) کامل با قابلیت جاسوسی و کنترل از راه دور است که پیش‌تر نیز در کمپین‌های مختلف مشاهده شده بود. در این مورد، نصاب مخرب با نام فایل FS_SETUP_XX_173.exe توزیع می‌شود و بسته به پسوند نام فایل، یکی از چند اقدام فریبنده مانند نصب DingTalk، نصب Chrome یا هدایت کاربر به پرتال Tencent Meeting را انجام می‌دهد تا قربانی گمان نکند اتفاق مشکوکی رخ داده است.

زنجیرهٔ آلودگی

• گام ۱ — نصب پوششی: نصاب، نسخهٔ دستکاری‌شدهٔ اپلیکیشن QnWallpaper را در مسیر C:Program FilesQNWallpaper5.4.0.1662<random> استخراج می‌کند و Windows Defender را از طریق تغییر رجیستری غیرفعال می‌سازد.
• گام ۲ — DLL Sideloading: هنگام اجرای QnWallpaper.exe، یک نسخهٔ مخرب از کتابخانهٔ مشروع libcef.dll (مربوط به Chromium Embedded Framework) بارگذاری می‌شود و تابع DllMain آن به‌صورت خودکار اجرا شده و پایداری (persistence) و ارتقای سطح دسترسی را برقرار می‌کند.
• گام ۳ — بارگذاری Payload: payload اصلی ValleyRAT که با AES رمزنگاری شده، رمزگشایی و در حافظه اجرا می‌شود؛ صحت آن نیز از طریق بررسی هدر PE تأیید می‌شود.
• گام ۴ — پایداری تهاجمی: بدافزار پردازهٔ خود را به‌عنوان «critical process» علامت‌گذاری می‌کند (به‌طوری‌که بستن دستی آن باعث Blue Screen سیستم می‌شود)، کد را به svchost تزریق می‌کند و در صورت بروز خطا به‌طور خودکار مجدداً اجرا می‌شود.

پس از استقرار کامل، ValleyRAT قابلیت‌هایی مانند ثبت کلیدهای فشرده‌شده (Keylogging)، پایش کلیپ‌بورد، گرفتن اسکرین‌شات، ردیابی پنجرهٔ فعال، جمع‌آوری اطلاعات کامل سیستم (نام میزبان، IP، نسخهٔ ویندوز، تعداد هستهٔ پردازنده، فضای دیسک، کارت گرافیک)، خاموش/ری‌استارت‌کردن سیستم، به‌روزرسانی آدرس سرور فرمان‌و‌کنترل و بارگذاری ماژول‌های اجرایی جدید را در اختیار مهاجم قرار می‌دهد. این بدافزار همچنین ابزارهای تحلیل و پایش شبکه را روی سیستم قربانی شناسایی می‌کند تا از افشا شدن جلوگیری کند.

آمار و اسنادی از میزان شیوع

• بیش از ۱۰۰ هزار مورد شناسایی طی سال ۲۰۲۶ توسط محصولات کسپرسکی ثبت شده است.
• حدود ۱۵۰۰ قربانی یکتا شناسایی شده‌اند.
• بیشترین تمرکز حملات روی چین و هند بوده، اما با توجه به توزیع عمومی نصاب از طریق سایت‌های دانلود نرم‌افزار رایگان، این کمپین محدود به یک منطقهٔ جغرافیایی خاص نیست.
• کسپرسکی این کمپین را به گروه Silver Fox نسبت داده — گروهی که با انگیزهٔ ترکیبی جاسوسی سایبری و سودجویی مالی فعالیت می‌کند، بدون وابستگی رسمی به یک دولت خاص.

چرا این تهدید برای سازمان‌های ایرانی مهم است؟

نرم‌افزارهای رایگان مانند تغییردهنده‌های تصویر زمینه، ابزارهای بهینه‌سازی سیستم و اپلیکیشن‌های «رایگان و کاربردی» بسیار پرکاربردند و اغلب بدون بررسی امنیتی توسط کارمندان روی سیستم‌های سازمانی نصب می‌شوند. این کمپین نشان می‌دهد که حتی یک اپلیکیشن امضاشده و به‌ظاهر بی‌خطر می‌تواند حامل یک بکدر کامل باشد. برای سازمان‌هایی که سیاست سخت‌گیرانه‌ای دربارهٔ نصب نرم‌افزار شخص ثالث ندارند، این یک نقطهٔ ورود جدی برای جاسوسی داده و باج‌گیری بعدی محسوب می‌شود.

نشانه‌های هشدار (IOC)

هش‌های فایل مخرب (MD5):
c24e99f9437feacaa63766a3cde3fe3d (نصاب مخرب) — 07ddbbe2c71c45577a7a4fbcdba0df91 (libcef.dll مخرب) — 8a626d844943da3456b044f38deae3a2 (نمونهٔ دیگر)

سرورهای فرمان‌و‌کنترل:
103.45.66[.]18:441, :442, :443 — 192.253.225[.]173:6666, :8888

زیرساخت مرتبط:
qnwallpaper[.]keansoft[.]cn (منبع اصلی اپلیکیشن آلوده‌شده)

توصیه‌های عملی

1. محدودسازی نصب نرم‌افزار شخص ثالث: سیاست‌های سازمانی باید نصب اپلیکیشن‌های غیرضروری (تصویر زمینه، بهینه‌سازها و مشابه) را روی سیستم‌های کاری ممنوع یا محدود کند.
2. پرهیز از افزودن استثنا در آنتی‌ویروس: هرگز اپلیکیشن‌های ناشناس را در لیست استثنای راهکار امنیتی قرار ندهید، حتی اگر امضای دیجیتال معتبر داشته باشند.
3. پایش ترافیک به سمت IOCهای فوق: آدرس‌ها و پورت‌های فرمان‌و‌کنترل فوق را در فایروال یا SIEM سازمان مسدود و پایش کنید.
4. Application Whitelisting: استفاده از راهکارهای کنترل اجرای برنامه برای جلوگیری از DLL Sideloading و اجرای کتابخانه‌های ناشناخته.
5. آموزش کارکنان: افزایش آگاهی کارکنان دربارهٔ خطرات نصب نرم‌افزارهای رایگان و ناشناس از منابع غیررسمی.

جمع‌بندی

کمپین ValleyRAT بار دیگر یادآوری می‌کند که تهدید همیشه از طریق ایمیل فیشینگ یا اکسپلویت‌های پیچیده وارد نمی‌شود؛ گاهی یک اپلیکیشن ساده و به‌ظاهر بی‌خطر می‌تواند دروازهٔ نفوذ کامل به شبکه باشد. برای سازمان‌هایی که به‌دنبال کنترل دقیق نرم‌افزارهای در حال اجرا و شناسایی رفتارهای مشکوک هستند، راهکارهای EDR/XDR مانند Kaspersky Next XDR اهمیت بالایی دارد. جزئیات کامل فنی این تحلیل در مقالهٔ اصلی کسپرسکی روی Securelist در دسترس است.

مشاوره امنیتی رایگان با کارشناسان فدک رایان

اگر نگران این هستید که نرم‌افزارهای ناشناس یا شخص ثالث در سازمان‌تان دروازهٔ نفوذ مهاجمان شوند، کارشناسان فدک رایان آماده ارزیابی امنیتی سیستم‌ها و ارائهٔ راهکار متناسب با نیاز شما هستند. برای دریافت مشاورهٔ تخصصی، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید.